搜索

[9392] 2015-09-28_一款流行DDoS木马工具的分析

文档创建者：s7ckTeam
浏览次数：5
最后更新：2025-01-17
2015-09-28_一款流行DDoS木马工具的分析 一 款 流 行 D D o S 木 马 工 具 的 分 析 阿 里 云 安 全   F r e e B u f   2 0 1 5 - 0 9 - 2 8 本 篇 文 章 是 对 一 种 被 大 量 肉 鸡 使 用 ， 面 向 目 标 本 篇 文 章 是 对 一 种 被 大 量 肉 鸡 使 用 ， 面 向 目 标 I P 发 起 发 起 D D o S 攻 击 木 马 工 具 的 详 细 分 析 。 攻 击 木 马 工 具 的 详 细 分 析 。 一 一   背 景 背 景 近 期 ， 阿 里 云 云 盾 安 全 攻 防 对 抗 团 队 通 过 异 常 流 量 分 析 和 攻 击 溯 源 发 现 了 一 种 被 大 量 肉 鸡 使 用 ， 面 向 目 标 I P 发 起 D D o S 攻 击 的 木 马 工 具 。 经 过 取 样 和 入 侵 分 析 ， 我 们 发 现 该 D D o S 攻 击 工 具 大 部 分 是 由 于 网 络 上 某 些 服 务 器 存 在 M y s q l 或 S q l S e r v e r 弱 密 码 等 原 因 被 入 侵 ， 被 黑 客 传 入 大 量 恶 意 软 件 ， 其 中 包 括 该 款 D D o S 工 具 ： 文 件 名 ： D b P r o t e c t S u p p o r t . e x e   M D 5 ： 4 1 2 e 6 b 0 d e 4 7 0 9 0 7 c b a 7 5 e 0 0 d d e 5 a 0 0 8 6 该 D D o S 工 具 运 行 后 先 通 过 反 弹 的 方 式 主 动 与 远 程 主 机 连 接 ， 远 程 控 制 机 随 后 向 该 D D o S 工 具 传 递 攻 击 的 目 标 I P 。 D D o S 工 具 随 后 使 用 自 己 所 携 带 的 W i n p c a p 驱 动 直 接 操 作 网 卡 发 包 ， 向 目 标 I P 发 动 S Y N 流 量 攻 击 。 二 二   样 本 简 介 样 本 简 介 该 D D o S 工 具 启 动 后 ， 会 先 获 取 主 机 信 息 （ 系 统 版 本 、 C P U 架 构 ， 网 卡 信 息 ， M A C 地 址 ） ， 然 后 主 动 通 过 设 定 好 的 域 名 来 连 接 远 程 主 机 。 建 立 连 接 后 ， 将 这 些 信 息 发 送 给 远 程 主 机 。 同 时 ， 工 具 会 创 建 线 程 等 待 主 机 发 来 攻 击 目 标 I P 。 当 远 程 控 制 机 与 该 D D o S 进 行 一 系 列 的 准 备 工 作 通 信 后 ， 会 给 其 发 送 一 个 攻 击 指 令 包 ， 该 指 令 包 会 包 含 攻 击 目 标 I P 地 址 。 该 D D o S 工 具 接 收 到 攻 击 指 令 后 ， 会 自 助 将 目 标 I P 填 充 为 S Y N 包 ， 然 后 调 用 W i n p c a p 驱 动 ， 直 接 操 作 网 卡 发 送 填 充 好 的 攻 击 流 量 包 。 攻 击 流 程 如 图 1 所 示 。
图 1   攻 击 流 程 三 三   详 细 分 析 详 细 分 析 3 . 1   网 络 流 量 分 析 网 络 流 量 分 析 在 测 试 机 中 ( 由 于 隐 私 需 要 ， 将 部 分 机 器 I P 、 M A C 地 址 隐 藏 ) 将 该 程 序 启 动 ， 通 过 分 析 网 络 流 量 会 发 现 该 程 序 在 与 远 程 控 制 机 建 立 连 接 后 会 立 即 向 远 程 主 机 发 生 一 个 “ 报 告 包 ” ， 该 包 包 含 了 本 机 的 系 统 版 本 ， 如 图 2 所 示 . 图 2   描 蓝 包 所 显 示 的 数 据 有 一 段 W i n d o w s   S e r v e r   2 0 0 3 （ 红 框 所 示 ） 后 续 会 进 行 一 段 时 间 的 相 互 通 信 ， 通 过 数 据 分 析 发 现 ， 该 通 信 包 无 明 显 特 征 ， 应 该 是 为 防 止 下 断 r e c v ， 增 加 分 析 r e c v 包 的 难 度 。 经 过 该 段 时 间 通 信 后 ， 控 制 端 会 发 送 一 个 明 显 突 变 的 包 ， 然 后 受 控 机 开 始 进 行 向 外 D D o S 攻 击 。 通 过 分 析 该 包 内 容 ， 该 包 明 显 相 较 于 其 他 数 据 包 不 一 样 ， 对 比 随 后 就 发 生 的 D D o S 攻 击 的 目 的 I P 地 址 ， 发 现 该 包 包 含 了 D D o S 攻 击 目 标 I P 与 端 口 号 ， 因 此 可 判 断 为 该 包 为 指 令 包 ， 如 图 3 所 示 。
图 3   描 蓝 即 为 指 令 包 ， 受 控 机 收 到 该 包 后 随 后 控 制 机 即 对 外 部 进 行 D D o S 攻 击 ， 其 中 红 框 即 为 目 标 攻 击 I P 3 . 2   文 件 逆 向 分 析 文 件 逆 向 分 析 通 过 对 程 序 逆 向 分 析 ， 发 现 程 序 运 行 后 会 获 取 主 机 的 信 息 （ 系 统 版 本 、 C P U 架 构 ， 网 卡 信 息 ， M A C 地 址 ） ， 如 图 4 、 5 、 6 、 7 所 示 ： 图 4   系 统 版 本
图 5   C P U 核 心 和 架 构 图   6   系 统 网 络 接 口 和 M A C 地 址 对 g e t h o s t b y n a m e 下 断 可 发 现 受 控 机 会 首 先 获 取 * . s o f t c o o . c o m 这 个 域 名 获 取 主 机 地 址 信 息 ， 如 图 7 所 示 。 图 7   通 过 固 定 域 名 获 取 主 机 地 址 信 息 对 c o n n e c t 下 断 可 以 发 现 连 接 的 控 制 机 的 目 的 地 址 为 ： * . * . 2 4 2 . 6 ， 如 图 8 所 示 ：
图   8   逆 向 分 析 出 c o n n e c t 控 制 机 I P 地 址 为 ： * . * 2 4 2 . 6 对 s e n d 下 断 可 以 发 现 所 发 送 的 第 一 个 数 据 包 内 容 为 ， 如 图 9 所 示 ， 与 图 1 中 “ 报 告 包 ” 数 据 内 容 对 比 可 发 现 ， 该 数 据 内 容 一 致 。 图   9   s e n d 截 获 的 “ 报 告 包 ” 由 于 后 面 实 际 打 D D o S 攻 击 使 用 的 是 自 带 驱 动 W i n p c a p 直 接 操 作 网 卡 来 进 行 发 包 ， 因 而 O l l y D b g 截 获 不 了 所 发 的 封 包 ， 但 是 可 以 通 过 W i r e s h a r k 抓 包 软 件 来 捕 获 ， 如 图 1 0 所 示 。
图 1 0   攻 击 流 量 包 四 四   总 结 总 结 经 过 以 上 分 析 ， 我 们 可 以 发 现 该 D D o S 木 马 的 并 没 有 太 复 杂 的 D D o S 攻 击 模 式 ， 而 且 也 没 有 自 启 动 模 块 ， 当 外 部 程 序 启 动 它 后 ， 就 会 接 受 远 程 控 制 ， 来 对 目 标 I P 发 动 攻 击 。 该 攻 击 行 为 由 于 是 直 接 操 作 驱 动 进 行 ， 所 以 客 户 端 没 有 很 好 的 阻 断 方 式 。 不 过 ， 由 于 本 机 文 件 特 征 比 较 明 显 ， 它 的 同 目 录 文 件 夹 下 会 带 有 n p f . s y s 驱 动 ， 因 而 是 个 比 较 明 显 的 特 征 。 最 后 ， 该 D D o S 工 具 传 播 范 围 比 较 大 ， 当 发 现 机 器 上 有 异 常 流 量 的 时 候 ， 可 以 直 接 检 查 下 自 己 服 务 器 上 面 是 否 存 在 此 恶 意 工 具 文 件 。 *   作 者 ： 阿 里 云 云 盾 安 全 攻 防 对 抗 团 队 （ 企 业 账 号 ） 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理